Le piège classique
Le considérant 155 eclaire les articles 72 et 73 du AI Act sur la surveillance post-commercialisation et le signalement d'incidents graves. En pratique, les fournisseurs de systèmes d'IA a haut risque concoivent un magnifique système de gestion des risques avant la mise sur le marché, puis l'abandonnent une fois le produit deploye. Or l'AI Office et les autorités de surveillance du marché (désignation à venir au Luxembourg) attendent un dispositif vivant qui capture l'expérience reelle d'usage, detecte les derives d'apprentissage continu, et déclenche un signalement sous 15 jours (72h pour les infrastructures critiques ou les atteintes graves a la santé) des qu'un incident grave survient. Sans tracabilite, la sanction tombe au titre de l'article 99 (jusqu'à 15 M'EUR ou 3% du CA mondial).
Ce que le considérant impose concretement dans votre dispositif
- Un plan de surveillance post-commercialisation documente, proportionné au niveau de risque du système et a son contexte d'usage.
- Une analyse explicite des interactions avec d'autres systèmes d'IA, dispositifs et logiciels en aval (chaîne de valeur).
- Un mécanisme de détection des derives pour les systèmes qui continuent a apprendre après deploiement (model drift, data drift, concept drift).
- Une exclusion expresse des données opérationnelles sensibles des deployeurs qui sont des autorités repressives.
- Un canal de remontee structure depuis les deployeurs vers le fournisseur, et du fournisseur vers l'autorité competente.
- Une qualification automatique de la gravité : deces, atteinte grave a la santé, perturbation d'infrastructure critique, violation de droits fondamentaux, dommage matériel ou environnemental.
Le piège spécifique de l'apprentissage continu
Pour les systèmes qui reapprennent en production (LLM fine-tunes en continu, modèles de scoring crédit reentraines mensuellement, systèmes de recommandation RLHF), le considérant 155 impose une vigilance accrue. Le modèle conforme au moment de la mise sur le marché peut devenir non conforme trois mois plus tard sans qu'aucune ligne de code n'ait change. La preuve de conformité doit être continue, pas ponctuelle.
Comment Luxgap automatise ce risque
Notre Luxgap AI Drift Sentinel transforme l'obligation déclarative de surveillance post-commercialisation en preuve technique horodatee, opposable a l'AI Office et a l'autorité luxembourgeoise de surveillance du marché. L'agent se connecte directement a vos pipelines MLOps (MLflow, Azure ML, Vertex AI, AWS SageMaker, Databricks) et a vos systèmes de telemetrie produit (Datadog, Grafana, Sentry) pour capturer en temps reel les signaux de derive sans demander a vos data scientists de remplir le moindre formulaire.
- Detecte automatiquement les derives statistiques (population stability index, KL divergence, accuracy decay) sur chaque modèle en production et déclenche une alerte Teams ou Slack des qu'un seuil critique est franchi.
- Classifie chaque incident remonte selon la grille article 3(49) du AI Act (deces, santé, infrastructure critique, droits fondamentaux, environnement, biens) et pre-calcule le délai de notification applicable (72h ou 15 jours).
- Cartographie la chaîne d'interactions IA en aval (votre système alimente quel autre système, intégré quelles bibliotheques, exposé quelles API) pour materialiser l'analyse exigee par le considérant 155.
- Genere automatiquement le rapport d'incident grave pre-rempli au format attendu par l'AI Office, avec horodatage cryptographique et chaîne de preuve scellee.
- Exclut nativement les flux de données marques law enforcement du périmètre de telemetrie, conformément a l'exception du considérant 155.
- Produit un journal de surveillance post-commercialisation continu, opposable lors d'un contrôle, demontrant la conformité article 72 sur toute la durée de vie du système.
Disponible en complement d'un mandat CISO ou DPO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur vos modèles reels en production, avec un audit blanc gratuit sous 48h pour mesurer votre exposition aux derives avant tout engagement.
